Gần đây tôi đã triển khai một máy chủ đám mây mới và đã cài đặt dokku. Tôi đã thiết lập hai ứng dụng đơn giản, ứng dụng PHP và Vue/tĩnh và plugin cho letencrypt.
Mọi thứ đều ổn nhưng hai ngày sau tôi nhận thấy ba mục bất thường trong ủy quyền_keys tệp cho người dùng dokku. Tôi tự hỏi liệu máy chủ của mình có bị xâm phạm bằng cách nào đó hay tôi đang phản ứng thái quá:
Các phím đã được xử lý lại:
command="FINGERPRINT=SHA256:<redacted> NAME=\"admin1\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",no-agent-forwarding,no-user-rc,no-X11-forwarding,no -port-forwarding ssh-rsa <khóa pub được chỉnh sửa lại>
command="FINGERPRINT=SHA256:<redacted> NAME=\"web-admin1\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",no-agent-forwarding,no-user-rc,no-X11-forwarding ,ssh-rsa không chuyển tiếp cổng
command="FINGERPRINT=SHA256:<redacted> NAME=\"web-admin2\" `cat /home/dokku/.sshcommand` $SSH_ORIGINAL_COMMAND",no-agent-forwarding,no-user-rc,no-X11-forwarding ,ssh-rsa không chuyển tiếp cổng <khóa pub đã biên tập lại> jondo@debian
Dokku có một sshcommand tính năng (liên kết) nhưng tôi chưa bao giờ sử dụng nó.
Nhìn Cuối cùng và .bash_history cho thấy không có gì bất thường và /var/log/auth.log tiết lộ những nỗ lực vũ phu vô tận mà tôi tưởng tượng rằng tất cả các máy chủ công cộng đều phải đối mặt, nhưng không có thông tin đăng nhập bất thường nào.
